搜索

[14314] 2019-07-06_Carbon：交互式反汇编工具

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2019-07-06_Carbon：交互式反汇编工具 C a r b o n ： 交 互 式 反 汇 编 工 具 s e c i s t   F r e e B u f   2 0 1 9 - 0 7 - 0 6 C e r b e r o   S u i t e 是 为 是 为 x 8 6 / x 6 4 设 计 的 一 款 交 互 式 反 汇 编 工 具 。 最 初 的 目 的 是 为 了 让 我 们 的 用 户 能 够 检 查 内 存 转 储 设 计 的 一 款 交 互 式 反 汇 编 工 具 。 最 初 的 目 的 是 为 了 让 我 们 的 用 户 能 够 检 查 内 存 转 储 中 的 代 码 以 及 中 的 代 码 以 及 s h e l l c o d e 。 如 今 ， 市 面 上 已 有 非 常 先 进 的 反 汇 编 工 具 ， 如 。 如 今 ， 市 面 上 已 有 非 常 先 进 的 反 汇 编 工 具 ， 如 I D A 和 和 G h i d r a ， 在 我 看 来 尝 试 模 仿 其 中 ， 在 我 看 来 尝 试 模 仿 其 中 的 一 种 工 具 是 没 有 意 义 的 。 这 也 是 我 设 计 该 反 汇 编 工 具 的 原 因 ， 同 时 我 也 考 虑 了 客 户 如 何 使 用 的 一 种 工 具 是 没 有 意 义 的 。 这 也 是 我 设 计 该 反 汇 编 工 具 的 原 因 ， 同 时 我 也 考 虑 了 客 户 如 何 使 用 C e r b e r o   S u i t e 的 的 问 题 。 问 题 。 C e r b e r o   S u i t e 被 大 量 作 为 文 件 初 始 分 类 的 工 具 使 用 。 我 依 然 记 得 使 用 W 3 2 D a s m 的 美 好 时 光 ， 并 从 中 获 取 了 很 大 的 灵 感 。 当 然 ， W 3 2 D a s m 已 无 法 应 对 越 来 越 复 杂 的 情 况 。 这 就 是 为 什 么 在 C a r b o n 的 设 计 中 ， 我 试 图 将 W 3 2 D a s m 等 工 具 的 即 时 性 与 更 高 级 工 具 的 灵 活 性 结 合 起 来 的 原 因 。 特 性 介 绍 特 性 介 绍 F l a t   反 汇 编 视 图 反 汇 编 视 图 C a r b o n 带 有 一 个 显 示 文 件 中 所 有 指 令 的 F l a t   反 汇 编 视 图 。 我 不 排 除 将 来 可 能 会 有 图 表 视 图 ， 但 它 不 是 我 优 先 考 虑 的 事 情 。 递 归 反 汇 编 递 归 反 汇 编 递 归 反 汇 编 程 序 是 解 决 代 码 被 数 据 中 断 的 情 况 所 必 需 的 。 C a r b o n 将 尽 可 能 的 在 较 短 时 间 内 完 成 d i s a s s e m b l e ， 并 同 时 进 行 基 本 的 分 析 工 作 。 速 度 速 度 C a r b o n 是 多 线 程 的 ， 可 以 非 常 快 速 地 处 理 大 型 的 文 件 。 这 对 于 文 件 的 初 始 分 类 非 常 有 用 。
以 上 是 大 约 十 分 钟 内 对 6 0   M B   c h r o m e   D L L 执 行 的 分 析 。 这 是 在 虚 拟 机 中 运 行 的 。 未 来 的 挑 战 将 是 保 持 速 度 ， 同 时 增 加 更 多 的 分 析 段 落 。 x 8 6 / x 6 4   支 持 支 持 C a r b o n 同 时 支 持 x 8 6 和 x 6 4 代 码 。 将 来 会 支 持 更 多 架 构 。 实 际 上 ， C a r b o n 的 设 计 允 许 在 相 同 的 反 汇 编 视 图 中 混 合 架 构 。 不 受 限 的 数 据 库 不 受 限 的 数 据 库 一 个 项 目 在 C a r b o n 中 可 以 包 含 无 限 个 C a r b o n 数 据 库 。 这 意 味 着 如 果 你 正 在 分 析 包 含 1 0 个 可 执 行 文 件 的 Z i p 文 件 ， 那 么 这 些 文 件 中 的 每 一 个 都 可 以 拥 有 自 己 的 数 据 库 。 不 仅 如 此 ： 单 个 文 件 也 可 以 有 多 个 数 据 库 ， 只 需 单 击 C a r b o n 工 具 栏 按 钮 或 按 “ C t r l + A l t + C ” 即 可 添 加 新 的 C a r b o n 数 据 库 。 如 果 你 对 分 析 不 满 意 ， 那 么 你 可 以 通 过 右 键 单 击 相 关 的 摘 要 条 目 或 选 择 它 并 按 “ D e l ” 轻 松 删 除 它 。 脚 本 脚 本 你 只 需 几 行 P y t h o n 代 码 就 可 以 加 载 和 d i s a s s e m b l e 一 个 文 件 。 s   =   c r e a t e C o n t a i n e r F r o m F i l e ( a ) o b j   =   P E O b j e c t ( ) o b j . L o a d ( s )
分 析 完 成 后 ， 我 们 可 以 修 改 和 浏 览 其 内 部 数 据 库 的 各 个 部 分 ， 或 者 我 们 可 以 创 建 一 个 视 图 并 显 示 反 汇 编 ： 内 部 数 据 库 使 用 S Q L i t e ， 即 使 不 使 用 S D K 也 可 以 轻 松 浏 览 和 修 改 它 。 P y t h o n   加 载 程 序 加 载 程 序 在 很 早 之 前 我 就 决 定 使 用 P y t h o n 编 写 所 有 的 文 件 加 载 程 序 。 虽 然 这 可 能 会 使 文 件 的 加 载 速 度 稍 慢 （ 尽 管 不 明 显 ） ， 但 它 允 许 用 户 自 定 义 加 载 程 序 并 添 加 功 能 ， 从 而 提 供 了 极 大 的 灵 活 性 。 添 加 新 的 文 件 加 载 程 序 也 非 常 简 单 。 P E 文 件 的 整 个 加 载 程 序 大 约 有 3 5 0 行 代 码 。 这 是 原 始 文 件 的 加 载 程 序 ： c   =   C a r b o n ( ) c . s e t O b j e c t ( o b j ,   T r u e ) i f   c . c r e a t e D B ( d b n a m e )   ! =   C A R B O N _ O K :         p r i n t ( " e r r o r :   c o u l d n ' t   c r e a t e   D B " )         r e t u r n   F a l s e i f   c . l o a d ( )   ! =   C A R B O N _ O K :         p r i n t ( " e r r o r :   c o u l d n ' t   l o a d   f i l e " )         r e t u r n   F a l s e c . r e s u m e A n a l y s i s ( ) #   w a i t   f o r   t h e   a n a l y s i s   t o   f i n i s h . . . c t x   =   p r o C o n t e x t ( ) v   =   c t x . c r e a t e V i e w ( P r o V i e w . T y p e _ C a r b o n ,   " t e s t " ) c t x . a d d V i e w ( v ,   T r u e ) v . s e t C a r b o n ( c ) f r o m   P r o . C a r b o n   i m p o r t   * c l a s s   R a w L o a d e r ( C a r b o n L o a d e r ) :         d e f   _ _ i n i t _ _ ( s e l f ) :                 s u p e r ( R a w L o a d e r ,   s e l f ) . _ _ i n i t _ _ ( )         d e f   l o a d ( s e l f ) :                 #   g e t   p a r a m e t e r s                 p   =   s e l f . c a r b o n ( ) . g e t P a r a m e t e r s ( )                 t r y :                         a r c h   =   i n t ( p . v a l u e ( " a r c h " ,   s t r ( C a r b o n T y p e _ I _ x 8 6 ) ) ,   1 6 )                 e x c e p t :                         p r i n t ( " c a r b o n   e r r o r :   i n v a l i d   a r c h " )                         a r c h   =   C a r b o n T y p e _ I _ x 8 6                 t r y :                         b a s e   =   i n t ( p . v a l u e ( " b a s e " ,   " 0 " ) ,   1 6 )                 e x c e p t :                         p r i n t ( " c a r b o n   e r r o r :   i n v a l i d   b a s e   a d d r e s s " )                         b a s e   =   0                 #   l o a d                 d b   =   s e l f . c a r b o n ( ) . g e t D B ( )                 o b j   =   s e l f . c a r b o n ( ) . g e t O b j e c t ( )                 #   a d d   r e g i o n                 e   =   c a R e g i o n ( )
一 旦 熟 悉 了 S D K ， 添 加 新 的 加 载 器 将 会 非 常 的 轻 松 简 单 。 R a w / P E   加 载 程 序 加 载 程 序 初 始 文 件 的 支 持 是 针 对 P E 和 r a w 文 件 的 。 例 如 ， 这 是 一 些 反 汇 编 的 s h e l l c o d e 。 在 内 存 在 内 存   P E s   中 中 其 中 一 个 主 要 的 功 能 是 分 析 内 存 中 的 P E 文 件 。 这 是 内 存 中 P E 的 代 码 ：                 e . d e f _ t y p e _ i d   =   a r c h                 e . f l a g s   =   c a R e g i o n . R E A D   |   c a R e g i o n . W R I T E   |   c a R e g i o n . E X E C                 e . s t a r t   =   b a s e                 e . e n d   =   e . s t a r t   +   o b j . G e t S i z e ( )                 e . o f f s e t   =   0                 d b . a d d R e g i o n ( e )                 #   d o n ' t   d i s a s s e m b l e   a u t o m a t i c a l l y                 d b . s e t S t a t e ( c a M a i n . F I N I S H E D )                 r e t u r n   C A R B O N _ O K d e f   n e w R a w L o a d e r ( ) :         r e t u r n   R a w L o a d e r ( )
当 然 ， 反 汇 编 仅 限 于 未 被 分 页 的 内 存 页 面 ， 因 此 可 能 存 在 一 些 空 白 。 我 们 对 这 个 功 能 不 是 特 别 了 解 ， 后 续 该 功 能 也 将 随 着 即 将 发 布 的 版 本 进 行 相 应 扩 展 。 交 叉 引 用 交 叉 引 用 当 然 ， 没 有 一 个 像 样 的 反 汇 编 程 序 可 以 缺 少 交 叉 引 用 这 项 功 能 ： 我 们 还 可 以 从 设 置 中 选 择 我 们 想 要 查 看 的 交 叉 引 用 数 ：
重 命 名 重 命 名 我 们 可 以 在 代 码 中 命 名 和 重 命 名 任 何 位 置 或 函 数 （ 允 许 重 复 ） 。 即 使 E R R O R 没 有 指 向 同 一 位 置 ， 我 们 也 可 能 有 多 个 带 有 “ j m p   E R R O R ” 实 例 的 方 法 。 生 成 代 码 生 成 代 码 / 取 消 定 义 取 消 定 义 我 们 可 以 通 过 按 “ C ” 将 未 定 义 的 数 据 转 换 为 代 码 ， 或 者 相 反 ， 按 “ U ” 将 代 码 转 换 为 未 定 义 的 数 据 。 在 这 里 ， 我 们 向 s h e l l c o d e 添 加 了 一 个 新 的 C a r b o n 数 据 库 。 正 如 你 所 看 到 的 ， 它 最 初 都 是 未 定 义 的 数 据 ：
在 第 一 个 字 节 按 “ C ” 后 ， 我 们 得 到 一 些 初 始 指 令 ： 但 是 ， 正 如 我 们 所 看 到 的 ， 突 出 显 示 的 跳 转 无 效 。 通 过 “ j m p ” 之 前 的 “ j n e ” ， 我 们 可 以 看 到 我 们 实 际 上 在 “ j m p ” 指 令 之 后 跳 转 了 一 个 字 节 。 所 以 我 们 要 做 的 是 在 “ j m p ” 上 按 “ U ” ， 然 后 在 地 址 0 x A 的 字 节 上 按 “ C ” 。
之 后 ， 在 0 x A 再 次 按 “ C ” ： 现 在 ， 我 们 就 可 以 正 确 分 析 s h e l l c o d e 了 。 函 数 函 数 我 们 可 以 在 任 何 我 们 想 要 的 位 置 定 义 和 取 消 定 义 函 数 。
例 外 例 外 已 支 持 x 6 4 异 常 。 注 释 注 释 添 加 注 释 最 重 要 的 功 能 之 一 。
已 标 记 的 位 置 已 标 记 的 位 置 你 也 可 以 通 过 按 “ A l t + M ” 标 记 位 置 或 通 过 “ C t r l + M ” 跳 转 到 标 记 的 位 置 。 清 单 列 表 清 单 列 表 从 “ C t r l + 1 ” 到 “ C t r l + 4 ” 的 快 捷 方 式 可 以 为 你 展 示 反 汇 编 中 的 各 种 列 表 。 C t r l + 1 将 显 示 入 口 点 列 表 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理